漏洞介绍

Django是一个高级的Python Web框架，支持快速开发和简洁实用的设计。

Django 1.11.5和1.10.8版本之前的调试错误页面中存在跨站脚本（XSS）漏洞。当启用DEBUG模式时，错误页面可能会通过未经转义的HTML错误消息暴露敏感信息。

该漏洞在数据库错误发生并且其详细信息显示在调试页面时触发。数据库的错误消息在模板渲染之前没有被正确转义。

漏洞范围

Django < 1.11.5

漏洞靶场

使用vulhub的靶场：

vulhub-master/django/CVE-2017-12794

使用环境为Django 1.11.4

启动靶场环境：

1	docker-compose up -d

服务启动后，访问http://your-ip:8000即可查看到Django的默认页面。

漏洞原理

因为官方说明是500页面中出现的BUG，所以我们重点关注的就是django/views/debug.py。

Github上有Django的仓库，下载下来，用1.11.4和1.11.5进行比较：

1
2
3

git clone https://github.com/django/django.git
cd django
git diff 1.11.4 1.11.5 django/views/debug.py

debug.diff#L13-L20

可见，外部关闭了全局转义，然后在这两个地方增加了强制转义。那么，漏洞肯定是在这个位置触发的。

如果要触发这两个输出点，就必须进入这个if语句：{% ifchanged frame.exc_cause %}{% if frame.exc_cause %}。

首先我们来想一下，正常情况下，这个位置是干嘛用的，也就是说，功能点是什么。

作为一个老年Django开发，看到上图画框的这个关键句子The above exception was the direct cause of the following exception:，我是有印象的：一般是在出现数据库异常的时候，会抛出这样的错误语句。

我们可以做个简单的测试，在Django命令行下，我们创建一个username为phith0n的用户，然后再次创建一个username为phith0n的用户，则会抛出一个IntegrityError异常：

见上图，原因是触发了数据库的Unique异常。

为什么Django会引入这样一个异常机制？这是为了方便开发者进行SQL错误的调试，因为Django的模型最终是操作数据库，数据库中具体出现什么错误，是Django无法100%预测的。那么，为了方便开发者快速找到是哪个操作触发了数据库异常，就需要将这两个异常回溯栈关联到一块。

我们可以看看代码，django/db/utils.py的__exit__函数：

def __exit__(self, exc_type, exc_value, traceback):
    if exc_type is None:
        return
    for dj_exc_type in (
            DataError,
            OperationalError,
            IntegrityError,
            InternalError,
            ProgrammingError,
            NotSupportedError,
            DatabaseError,
            InterfaceError,
            Error,
    ):
        db_exc_type = getattr(self.wrapper.Database, dj_exc_type.__name__)
        if issubclass(exc_type, db_exc_type):
            dj_exc_value = dj_exc_type(*exc_value.args)
            dj_exc_value.__cause__ = exc_value
            if not hasattr(exc_value, '__traceback__'):
                exc_value.__traceback__ = traceback
            # Only set the 'errors_occurred' flag for errors that may make
            # the connection unusable.
            if dj_exc_type not in (DataError, IntegrityError):
                self.wrapper.errors_occurred = True
            six.reraise(dj_exc_type, dj_exc_value, traceback)

django/db/utils.py#L70-L94

其中exc_type是异常，如果其类型是DataError,OperationalError,IntegrityError,InternalError,ProgrammingError,NotSupportedError,DatabaseError,InterfaceError,Error之一，则抛出一个同类型的新异常，并设置其__cause__和__traceback__为此时上下文的exc_value和traceback。

exc_value是上一个异常的说明，traceback是上一个异常的回溯栈。这个函数其实就是关联了上一个异常和当前的新异常。

最后，在500页面中，__cause__被输出。